fix(desktop): 插件运行授权改由 Host 批准 receipt 持有，与可变安装目录解耦

[Yuewei-LL]

这次改了什么

摘要

插件的「用户批准过什么」这件事，此前唯一的事实来源就是安装目录里的 ghost.json /
.cindy-trust.json / .disabled —— 而这个目录是可变的、产品里还有多条路径把用户和
Agent 引到那里去改（详情页可显示/复制/打开安装目录，Forge 不禁止拿已安装目录当源码
目录）。结果是：就地改写安装目录里的清单，可以让更新确认框的「旧版本」和权限 diff
以被改过的现场为基线显示「无新增」，未经确认的能力声明因此拿到运行授权。

这个 PR 把授权事实搬到安装目录之外：一次明确的安装/更新确认会写出一份 Host 持有的
批准 receipt（batch 的 manifest + trust + 启停态 + 随机 revision），放在
owner-scoped 的 ghost-install-state 状态根里；GhostManager.list() 的 manifest /
trust / enabled 一律只从 receipt 取，安装目录里那三样退化为旧版本兼容镜像。没有
receipt 或 receipt 损坏 = 不构成运行授权（列为停用、不许启用、不参与技能落链），
只能走一次完整重新确认恢复。

配套补齐三处对称性：更新事务把批准态投影成 token 由 Renderer 回传、Main 现读比对
（不一致就 state-changed 拒绝，与既有的 expectedPackageSha256 形成对称）；Forge
的 scaffold / pack 按 realpath 拒绝 Host 受管根及其后代（含大小写与软链/junction
别名）；越出沙箱的 skill 槽在确认时逐字节拷成带 revision 的批准快照，共享技能根的
链接指快照而不是可被改写的安装目录。

审查后追加（第 5 轮，commit bce8fab / 7545bc1 / dc2f4cb / 8220a50）

审查中暴露出一个模式：「怎么读插件内容目录」这条判据在六处各写一遍（技能指纹、快照
拷贝、安装目录漂移指纹、随包种子指纹、种子复制、Forge 打包收集），另有五处各自
path.join 后再判一次类型，分别用 Dirent 类型位 / lstat / stat / realpath 钳制
实现。于是每一轮审查都能在其中一处找到没覆盖的角落——补一处、下一轮换另一处。所以这
一轮先消掉分叉本身（新增 ghostContentTree.ts 作为唯一判据，差异只允许以显式策略参数
表达），再在统一后的判据上修四条具体反馈。

其中一条不是 reviewer 提的，是收敛过程中自查发现，且比任何一条 review 反馈更硬：
原内容摘要编码 path + NUL + bytes + NUL 有歧义——文件内容可以合法包含 NUL，于是
{ a: "x\0b\0y" } 与 { a: "x", b: "y" } 在进入 SHA-256 前形成完全相同的字节流，即
批准指纹本身可被构造碰撞。现改为 cindy-ghost-content-v2 + UTF-8 路径长度前缀 + 每文件
定长摘要，并同步 bump receipt schemaVersion（见「是否存在 breaking change」第 5 项）。

另外三条对应 review thread：随包/安装目录指纹忽略非普通条目（塞一条链接即被判「与种子
逐字节相同」并自动批准）、既有技能快照被无条件信任（缺失快照走 hash-checked 重建、既有
快照直接早退，两条路判据强度是反的）、Forge 受管根只做单向包含判定（源目录是受管根的
祖先时，递归打包会把已安装插件字节、批准 receipt 与技能快照打进 .cindy）。

变更类型

• feat 新功能
• fix 缺陷修复
• refactor / perf 重构或性能优化
• docs / test / chore 文档、测试或工程维护
• 其他：

范围

• 关联 Issue / 需求：插件授权事实源应与安装目录解耦：宿主需保存 approved manifest #636（不使用 Closes，理由见「明确不包含」第 1 条 —— 第 7 项
  加固要求只落了一半，是否结案请维护者判断）

• 本 PR 包含（对应 插件授权事实源应与安装目录解耦：宿主需保存 approved manifest #636 第 4 节九项加固要求）：

  #	加固要求	落点
  1	宿主侧批准 manifest（含 install receipt 与 revision），存在插件目录之外、不被插件源码流程写入	新增 main/cindy-brain/ghostInstallReceipt.ts；状态根 ownerScopedUserDataPath('ghost-install-state')；构造期断言内容根与状态根互不包含
  2	确认框版本与权限 diff 只以批准 manifest 为基线	shared/ghost.ts 新增 diffInstalledGhostPermissionItems()；installFlow.tsx、GhostPluginPage.tsx、plugin-market/service.ts 全部改吃它，无批准基线时把候选包全部权限当新增项列出
  3	运行期能力/授权判定移到批准 manifest	GhostManager.list() 只从 receipt 取 manifest / trust / enabled；非 approved 一律 enabled: false
  4	packGhostDir 按 realpath 拒绝安装目录及其子目录，覆盖软链、junction、Windows 大小写绕过	forge.ts 的 packGhostDir / scaffoldGhostDir 共用 forbiddenRootDirs，来源是 GhostManager.managedRootDirs()；新增错误码 SOURCE_IS_INSTALLED_PLUGIN；本轮改为双向判定（源目录既不能落在受管根内，也不能是它的祖先），且递归收集不跟随链接进受管根
  5	ghosts:inspect / ghosts:update 贯穿并校验预期安装 revision，不一致即失效	ghostInstallApprovalToken() / isGhostInstallApprovalToken()；ghosts:update 与市场安装都必填 expectedInstalledApproval，Main 现读比对，不一致返回 PRECONDITION_FAILED
  6	插件信任元数据（.cindy-trust.json）纳入宿主侧存储或签名校验	trust 移入 receipt 并在读取时严格校验；readInstalledTrust() 删除，安装目录里的文件降级为兼容镜像
  7	Forge/Agent 编辑前把插件复制进会话工作目录形成独立工作副本	只落了一半：受管根一律拒绝 + 编写手册第 7 节要求「先复制/迁出到工作目录中的新目录」；没有实现宿主侧自动复制
  8	回归测试覆盖版本 diff、权限 diff、状态竞态、软链、旧安装兼容、Windows/macOS 路径	GhostManager.test.ts / forge.test.ts / installFlow.test.tsx / service.test.ts 等新增用例：软链替换 locale 快照、大小写与 junction 别名、legacy 与损坏 receipt fail closed、revision 竞态、卸载清理、快照缺失时仍可停用、内容漂移拒绝重建、locale 键不一致失效
  9	更新 Forge 编写手册与工具契约，写明安装目录不能作源码目录	forge.ts 内嵌手册第 7 节、packages/cindy-tools/src/types.ts 错误码、docs/dev-rules/plugin-security-and-authoring.md

  另外补了两处实现上绕不开的配套：GhostManager 的 runExclusiveMutation() 把内容
  目录与 receipt 的改写串成一条事务车道（否则 receipt 与目录可能各写一半）；随包内置
  插件由 provisioning 在逐字节对账后自动补批准（见下方档 1）。

• 明确不包含：
  0. 批准状态根自身的写保护 —— 只剩消费侧窗口。 <userData>/ghost-install-state/ 对
  同权限本机进程可写。审查过程中把能在写入侧关掉的都关掉了（commit 7545bc1）：
  技能快照的字节指纹在每次写批准事实时都重新核对——接受既有快照前、复制到临时目录后、
  rename 就位后各一次（skillSnapshotMatchesReceipt 是唯一判据）；技能对账在建立
  或保留共享链接前也重算整棵快照。因此「复制完到 rename 之间被改写」与「快照事后
  被就地改写」都会在下一次写批准事实或下一轮对账时暴露：对不上就删掉重建，重建仍要过
  安装目录的字节校验，安装字节也漂移时一律拒绝并退回完整重新确认。
  仍未关闭的是消费侧：对账那次核对之后、主 Agent 顺着共享技能链接实际读取之前，
  快照仍可被改写——Agent 的读取路径不在宿主控制内，宿主不做逐次校验。receipt 同理：
  有严格结构与字段校验（改坏即判 invalid、fail closed），但没有签名或 MAC，能写状态
  根的进程可以伪造一份结构合法的批准。彻底关闭需要签名／MAC 或 OS 级写保护，未做。
  已按「写入侧已关 / 消费侧未关」两条分别登记进
  plugin-security-and-authoring.md 第 6 节；不得把「写入侧已核对」说成「消费时读到
  的一定是被批准的字节」。

  1. 安装内容的持续完整性校验。receipt 钉住的是授权事实，不是「安装字节此后没被改过」。
     逻辑页代码仍从 cindy-brain/<id>/ 现读，packageSha256 只是批准时点的来源指纹、
     运行期没有任何地方校验它。能写这个目录的本机进程仍可替换代码，只是被限制在
     此前已批准的权限集内运行、且无法再借改写 ghost.json 扩权。这个残留缺口已写进
     plugin-security-and-authoring.md 第 6 节，避免后人误以为已有内容完整性保证。
  2. 宿主侧自动把插件源码复制进工作目录（插件授权事实源应与安装目录解耦：宿主需保存 approved manifest #636 第 7 项的后半）。当前只做到"拒绝 +
     手册要求 Agent 自己迁出"。
  3. 市场 release 哈希自动补批准。见下方「用户可见变化」档 2，这是需要单独拍板的
     产品/安全取舍，本 PR 刻意不做。
  4. 服务端与插件市场后端改动（不在本仓）。

• 用户可见变化：升级到本版本后，存量安装分三档，差别很大，请按档看：

  档 1 · 随包内置插件（cindy-* 官方插件）—— 用户无感，无需任何操作。
  启动对账时 provisioning 已经把安装目录与随包种子目录逐字节比对过（hashDirContent
  相等，或刚刚整目录换入），此时宿主自动补写批准 receipt，原有启停态保持不变。
  这里的「自动」有权威字节可比：种子来自应用安装包本身。

  档 2 · 从插件市场安装的插件 —— 需要用户手动点一次「重新确认权限」，在此之前不工作。
  这类安装没有历史批准记录，升级后会被列为停用，卡片上出现「需要重新确认权限」徽标和
  「重新确认权限」按钮；点它会走市场同一 release 的重装确认流程，权限逐条按新增项列出，
  确认后恢复。已录入的凭证不会丢（保险库按插件 id 存，重新确认走的是 update 而不是
  卸载重装），插件的面板位置与配置也保留。

  但请注意这是本 PR 刻意做的取舍，值得单独拍板： 技术上完全可以像档 1 那样自动补
  批准 —— 市场侧有 release 记录，可以比对安装字节与 release 哈希。本 PR 没有这么做，
  理由是：市场哈希只能证明「安装内容等于某个 release 的字节」，不能证明「用户看过并
  同意过该 release 的权限集」。用它自动生成一份批准，就是再一次把「现场内容可信」
  当成「授权已获得」—— 这正是 插件授权事实源应与安装目录解耦：宿主需保存 approved manifest #636 的同类错误。存量安装的历史确认记录不存在，宿主无从
  证明用户当初同意的是哪一组权限。

  代价也要摆明：所有市场安装的插件在用户点确认之前都不工作，包括已配好凭证的插件，
  以及定时任务依赖的插件工具会在此期间失败（停用插件不注册工具、不参与技能落链）。

  如果维护者认为这个一次性摩擦不可接受，一个可行折中是：仅当安装字节与市场 release
  哈希完全一致、且该 release 的权限集与当前 manifest 完全一致时自动补 receipt，并在
  UI 明确标注「由市场记录自动恢复，未经你本人确认」。这需要产品与安全一起定，不该由
  本 PR 隐含决定，所以这里明确留给维护者拍板。

  档 3 · 本地手动装入的 .cindy 插件 —— 必须用户重新选一次包确认，无法自动化。
  没有任何权威哈希可比对（包文件早已不在手上），只能让用户重新选包走完整确认。

  另外：receipt 损坏（被外部改坏/截断）与档 2/3 走同一条恢复路径，只是文案不同
  （bodyInvalid vs bodyLegacy），一样 fail closed 不许启用。

  两处已知毛边，请维护者一并看：

  1. 随包插件被隔离时，恢复提示是死路。 撤销陈旧批准失败会转进程内隔离，UI 因此显示
     invalid 态并提示「请重新选择安装包并确认权限」——但随包插件根本没有 .cindy 可选。
     fail closed 的方向是对的，正确文案应是「重启应用即恢复」（下一轮启动对账会重新补批准）。
     本 PR 未改：需要新增第三条 reapproval route + 四语文案，会引入新的 UI／术语门禁面，
     而触发前提是状态根不可写这种坏环境。建议单独一个小 PR 处理。
  2. 被熄灯的常驻随包插件，同一次会话内不会自动重启。 撤销批准时会连带熄灯运行中的实例
     （runtime / node broker / agent slot 三连）；若后一轮对账把批准补回来，它仍保持沉睡，
     因为 spawnIfResident 在 reconcile 里只覆盖 outcome.installed，不覆盖
     outcome.approved；下次启动的全量扫描会把它拉起来。本 PR 未改：让它同会话内自动
     重启，需要给「后一轮补回批准」这条路径也加点火，而那条路径缺少「用户此刻想让它跑」
     这个信息，容易把本该沉睡的实例点亮——为消一个可解释的行为引入新风险不值当。

• 是否存在 breaking change：有。

  1. 上述档 2 / 档 3 的存量安装需要用户手动重新确认一次权限才能继续使用（行为变化，
     非 API 变化）。
  2. IPC 契约收紧：ghosts:update 与 pluginMarket.install（对已安装目标）新增必填的
     expectedInstalledApproval，缺失或格式不合法直接 INVALID_PARAMS /
     PRECONDITION_FAILED。调用方只有 Renderer 自身，已同步。
  3. GhostManager.update() 的 opts 由可选变必填（expectedInstalledApproval）。
  4. InstalledGhost 新增必填字段 approval，消费方已全部同步。
  5. GhostInstallReceipt schemaVersion 1 → 2，旧 receipt 一律失效。 内容摘要编码换成
     无歧义 framing（见「审查后追加」），旧 receipt 里的 skillContentSha256 在新校验器下
     无意义，因此 schemaVersion 不匹配直接判 invalid、fail closed、需重新确认——刻意不留
     「字段/版本不认就跳过校验」的兼容口子，那本身就是绕过点。对已发布版本的用户无影响
     （receipt 格式尚未随任何版本发布过）；但在本分支上测过的环境里，已写出的 receipt 会
     全部失效：随包插件（档 1）下一轮启动对账自动补回，市场／本地安装（档 2 / 档 3）需要
     再点一次「重新确认权限」。

UI 变化

界面效果证据见评论 #issuecomment-5138786803：pr636-light.png / pr636-dark.png
（Light / Dark 各一张全量状态图）+ pr636-ui-preview.html（自包含单文件，两模式并排）。
产出方式：真实 React 组件在 jsdom 渲染后导出的 DOM + 仓库 i18n 文案 + exportThemeColors()
从内置主题实时导出的 481 个 token + 仓库 tailwind 配置编译出的 CSS，非手绘示意图。
仍未做实机双模式目检（会话内无法重启宿主实例），按 DESIGN.md §10 如实声明。

UI 改动集中在两处，均为复用既有同级组件形态、只换文案与触发条件：

1. 插件列表卡片（GhostPluginPage.tsx）：名称后新增「需要重新确认权限」chip
   徽标（与既有「有新版本」徽标同一形态：rounded-full bg-[var(--surface-chip)] px-2 py-0.5 text-10 text-[var(--text-secondary)]，逐字一致）；右侧动作区把「使用/更新」
   按钮换成「重新确认权限」按钮（与既有卡片更新按钮的 class 串逐字一致：h-8 rounded-lg border-[var(--border-default)] bg-transparent px-3 text-12）；开关置灰
   （disabled={toggleDisabled || needsReapproval}）。
2. 插件详情页（GhostPluginDetailView.tsx）：头部动作区把更新按钮换成「重新确认
   权限」按钮（与既有更新按钮 class 串逐字一致：h-10 rounded-full border-[var(--border-default)] bg-[var(--surface-elevated)] px-5 text-13）；头部
   下方新增一块 role="status" 说明卡（复用本文件既有的 DETAIL_SURFACE_CLASS +
   rounded-xl px-4 py-3.5），标题 + 一句话说明为什么被停用、怎么恢复。

• 引用的设计规范：
  • DESIGN.md §10「Token Selection Rules for New UI」第 5 条：新增样式没有任何硬编码
    色值，全部走语义 token（--surface-chip、--surface-elevated、--border-default、
    --text-primary / --text-secondary、--surface-hover-soft、--focus-ring），
    未引入 bg-[#xxx] dark:bg-[#xxx] 形态。
  • DESIGN.md §10「Light / Dark Dual-Mode Delivery Gate」：两种模式都由上述语义 token
    覆盖（实现层面完成）。按该节最后一条如实说明：本次没有做实机双模式目检，见
    「未执行的验证」；不把「复用了 themed 样式」当作双模式已验证。
  • DESIGN.md §4「Cards & Containers」：说明卡用 12px 容器圆角（rounded-xl）、
    --surface-elevated 底、无阴影。
  • DESIGN.md §5「Border Radius Scale」：详情页按钮取 pill（rounded-full）、徽标取
    pill、说明卡取 12px 容器档。一处需要说明的偏离：列表卡片内的「重新确认权限」
    按钮用的是 8px（rounded-lg）而非 pill —— 这是照抄同一位置既有「更新 / 使用」按钮
    的现状（GhostPluginPage.tsx 同一 flex 容器内三个按钮 class 串完全一致），本 PR
    没有引入新的偏离，也没有顺手改既有按钮（超出本 PR 范围）。若需要统一为 pill，
    建议单独开一个 UI 一致性 PR 一起改，以免混进安全修复的 diff。
  • DESIGN.md §11「Voice & Content」：文案用大白话说清「发生了什么 + 怎么办」，
    不出现 receipt / revision / approval 等实现词；zh-CN / en / ja / ko 四语同步新增，
    pnpm check:i18n-glossary 通过。

怎么验证的

自动验证

# 基线：已 merge origin/main @ f818cea0（merge commit 278f996b，非 rebase）
# 冲突两处已解：cindy-brain/index.ts 的 beforeRemove、plugin-security-and-authoring.md
# 的代码位置表；另有两处语义冲突（main 新增测试夹具缺 approval / onReapprove，本分支把
# 两者改成必填）。submodule 指针未变。

pnpm test:unit
结果：Test Files 8 failed | 1407 passed (1415)
      Tests 16960 passed | 25 skipped (16985)
      唯一失败点仍是 apps/desktop 的 8 个 cindy-media suite 在 collect 阶段报
      better-sqlite3 原生模块加载错误（本机 Windows 环境性问题，merge 前后同样 8 个，
      在未改动的 origin/main 上复现，详见「未执行的验证」第 1 条）。断言层 0 失败。

pnpm --filter desktop run --if-present typecheck
结果：PASS（merge 后、以及拆分出的 3 个实现 commit 各自跑过一次）

pnpm --filter cindy-tools run --if-present typecheck
结果：exit 0 —— 该包没有 typecheck script，按仓库门禁规定的 --if-present 语义自动跳过
      （不是"类型检查通过"，此前正文把它写成 PASS 是不准确的，这里改正）

pnpm check:i18n-glossary
结果：PASS —— 术语表 27 条已裁决 / 24 条待讨论，en / zh-CN / ja / ko 无新增违规

pnpm check:dco
结果：PASS —— 9 commits signed off, 1 exempt (merge commit)

# 定向跑本次改动覆盖的全部目录
cd apps/desktop && pnpm exec vitest run --pool=forks --maxWorkers=6 \
  src/main/cindy-brain src/main/plugin-market src/main/ghost-panel-window \
  src/main/mcp-integrations src/renderer/cindy-brain src/renderer/features/plugin \
  src/renderer/__tests__/ghostCommandDecoration.test.ts \
  src/renderer/__tests__/ghostComposerPlacement.test.ts \
  src/renderer/__tests__/planModeComposerEntry.test.ts \
  src/renderer/lib/__tests__/ghostPanelBubbleState.test.ts
结果：PASS —— Test Files 135 passed (135) / Tests 1862 passed (1862)

# 每个拆分 commit 单独可编译、可通过（不是只有最终态绿）
vitest run src/main/cindy-brain：bce8faba 77 files / 1100 tests、
7545bc1e 77 / 1103、dc2f4cbc 77 / 1112，均 PASS

关于用例性质的说明（避免把弱用例当成强证据）：下列用例中，
rejects bytes swapped after the hash check but before the snapshot copy finishes、
keeps an install unusable when a stale approval cannot be revoked、
applies the SKILL.md size ceiling to the bytes that actually landed in the snapshot
以及各条 drift／legacy／revision 用例，都逐一还原成修复前的行为验证过精确变红，是真回归闸。
唯一例外是 refuses to follow a link planted inside the skill directory when rebuilding：
它是行为钉住而非回归闸——当前 libuv 就把 junction 与目录软链报成 link，判据从 Dirent
类型位换成逐条 lstat 前后结果相同；它的价值在于哪天 Node／libuv 改变 dirent 语义会立刻变红。

新增回归用例（节选，全部通过）：

• keeps manifest, enabled state, and trust independent from mutable install files
• fails legacy and corrupt receipts closed until a fully reviewed update replaces them
• rejects an update when the approved revision changed after review
• keeps disabling possible when the approved skill snapshot is gone, and rebuilds it on enable
• refuses to rebuild an enable-time snapshot from install bytes that drifted from the approved manifest
• installed locale symlinks cannot replace the Host-approved locale snapshot
• installed icon removal cannot replace the Host-approved icon snapshot
• rejects Host-managed roots, descendants, case aliases, and junction aliases（pack 与 scaffold 各一份）
• prunes skill snapshots left behind by superseded approval revisions
• treats receipt cleanup failure after content removal as a completed uninstall
• refuses to rebuild a snapshot when only the SKILL.md body drifted
• refuses to rebuild a snapshot when a helper file was added to the skill directory
• still heals a deleted snapshot when the installed skill bytes are untouched
• invalidates a receipt whose skill content digests no longer match the manifest
• rejects bytes swapped after the hash check but before the snapshot copy finishes
• applies the SKILL.md size ceiling to the bytes that actually landed in the snapshot
• keeps an install unusable when a stale approval cannot be revoked
• revoking approval fails the install closed, and a later bundled approval heals it
• refuses to follow a link planted inside the skill directory when rebuilding（行为钉住，见上）

第 5 轮新增（对应「审查后追加」，除注明者外均已还原判据验证过精确变红）：

• rejects a link in an intermediate path segment instead of hashing bytes from outside
• never reads icon bytes from outside the plugin dir when a path segment is a link
• invalidates a schema v1 receipt instead of trusting its legacy content digests
• uses unambiguous framing when file bytes contain NUL separators
• does not trust an already-present snapshot whose bytes were rewritten in place
• refuses to keep a rewritten snapshot when the installed bytes drifted too
• 完整摘要校验不通过时撤掉已有托管链接，不因目标未变而 kept
• flags a planted link instead of folding it into the content hash
• keeps type out of the hash so a sentinel-valued regular file stays distinguishable
• re-seeds when a seed file was replaced by a link, even if its bytes could spoof a hash sentinel
• re-seeds when a dot-named link was planted, even though dot entries stay out of the hash
• 种子含非普通条目时跳过，不交换目录也不申请批准
• rejects a source directory that contains a Host-managed root
• does not follow a link inside the source dir into a Host-managed root
• rejects a declared file that is a link instead of packing a package without it

手工验证

不涉及 / 未执行：本次改动在无法重启宿主 dev 实例的会话内完成，没有做实机手工验证。
需要实机确认的点（建议 reviewer 或后续在能重启的环境补）：

1. 升级后打开插件页，档 2 / 档 3 的存量安装是否如实显示徽标与说明卡、开关是否置灰；
2. 点「重新确认权限」后，市场路线与本地包路线是否都真的弹出逐项权限确认；
3. 档 1 的随包内置插件升级后是否完全无感（不出现徽标、启停态不变）；
4. 重新确认后，先前录入的凭证与面板位置是否保留。

未执行的验证

1. pnpm test:unit 在本机没有全绿，失败与本改动无关，已用「暂存本次改动、在未改动
   的 origin/main 上跑同一组用例」的方式逐一确认为既存环境问题：

   • src/main/cindy-media/__tests__/ 下 8 个 suite 在 collect 阶段报
     SyntaxError: Unexpected identifier 'Database'（better-sqlite3 原生模块在本机
     Windows 下的加载问题）。这 8 个在 clean baseline 上完全相同地复现。本改动不涉及
     cindy-media。
   • 另有 1 个 src/main/__tests__/clientEndpointsService.test.ts > 目录项换成了别的 inode → 不通过（Windows 的 ino/dev 语义差异）在较早一次运行
     中失败，同样在 clean baseline 上复现；在最终基线的复跑中它通过了，属于环境相关的
     不稳定用例。仓库已有 d2ea93a2 test(desktop): 修 Windows 本地跑不过的环境性用例
     这类先例。

   本改动没有新增任何失败，断言层 0 失败。最终以 CI 门禁为准。

2. 双模式实机目检未做（Light / Dark 都只做到实现层面走语义 token）。原因同上：
   会话内无法重启宿主实例。按 DESIGN.md §10 双模式交付门槛最后一条如实声明。

3. UI 截图 / 录屏未提供，原因同上。

4. pnpm test:all 未跑（本 PR 不含 DB migration / 协议 / 原生层改动，按风险分层未追加）。

5. macOS 路径行为未实测（realpath 大小写与 junction 别名用例在 Windows 上跑过；
   macOS 大小写不敏感卷的行为由同一 realpath 判定逻辑覆盖，但未在 macOS 实跑）。

6. 本机 pnpm install 需要绕过引擎门。 merge 进来的 origin/main 把 lockfile 里的
   undici 提到 8.7.0（engines.node >= 22.19.0），本机 Node 22.14.0 会被 .npmrc 的
   engine-strict=true 拦住。本轮用一次性 pnpm install --config.engine-strict=false
   完成安装，未改动 lockfile 与 .npmrc（已核对 lockfile 与 origin/main 逐字节
   一致）。CI 的 Node 若 ≥22.19.0 则无影响；否则这是与本 PR 无关的独立问题。

风险

风险分类

• 无已知风险
• SQLite / migration
• system prompt
• 协议兼容
• 权限 / 安全 / 用户数据
• 原生层 / fingerprint / OTA
• 跨平台差异
• 其他：

影响与回滚

• 影响范围：Desktop 插件（.cindy）的装入 / 更新 / 启停 / 卸载全链路，插件运行期
  能力授权判定，skill 槽落链目标，Forge 的 scaffold / pack 准入，插件页与插件市场 UI，
  以及依赖插件工具的定时任务（存量安装重新确认前不可用）。不涉及数据库 schema、
  不涉及 system prompt、不涉及 mobile 原生层与 runtime fingerprint。
• 跨平台差异点：受管根判定依赖 realpath + 路径包含比较，需同时挡住 Windows 的
  大小写折叠与 directory junction、以及 macOS 大小写不敏感卷。Windows 侧有用例覆盖，
  macOS 未实跑（见「未执行的验证」第 5 条）。
• 新增落盘位置：ownerScopedUserDataPath('ghost-install-state') 下的
  <id>.json（0600）与 skill-snapshots/<id>/<revision>/。均为宿主状态、不含凭证明文，
  写入走同目录临时文件 + rename 原子提交，旧 revision 快照在 receipt 提交后回收。
• 回滚 / 降级方式：代码层面 revert 本 PR 即可，不涉及数据库迁移，无需数据修复 ——
  回滚后 GhostManager 重新以安装目录为事实来源，遗留的 ghost-install-state 目录
  变成无人读取的孤立状态（可留可删）。启停态在整个过程中由安装目录里的 .disabled
  兼容镜像同步维护，所以回滚到旧客户端不会出现「批准态说停用、旧客户端却点亮」的
  错位。降级运行旧版本客户端同理可用。

提交前检查

• 已 review 完整 diff
• 每个 commit 都带 DCO 签名（git commit -s）
• UI 改动已在「UI 变化」注明引用的设计规范章节
• 未提交凭证、令牌或授权文件
• 已补充必要文档（docs/dev-rules/plugin-security-and-authoring.md、forge.ts 内嵌编写手册）
• 已确认测试结果或说明未执行原因

---

给 reviewer 的两点提示

1. 本 PR 改了 docs/dev-rules/plugin-security-and-authoring.md，会触发 review-pr 流程
   自动创建「规则文档改动讨论」issue 并暂停审查，等规则放行人确认（同 feat(plugins): unified plugin lifecycle readiness across discovery, enable, UI, scheduler, and credentials #668 / feat(desktop): 插件召唤卡改为气泡内标注行,法阵动画补终态编舞 #917 的
   情况）。规则改动与实现是一体的：把「授权事实由 Host receipt 持有」「Forge 源码区与
   受管根互斥」「启用需批准、停用必成功」写成审查判据，同时在第 6 节如实登记了残留的
   内容完整性缺口。
2. 与 feat(plugins): unified plugin lifecycle readiness across discovery, enable, UI, scheduler, and credentials #668（feat(plugins): unified plugin lifecycle readiness）有 15 个文件重叠
   （shared/ghost.ts、cindy-brain/index.ts、preload.ts、installErrorKey.ts、
   GhostPluginPage.tsx、GhostPluginDetailView.tsx、vite-env.d.ts、
   cindy-tools/src/types.ts、plugin-security-and-authoring.md、四个 locale 等）。
   两者语义不重复（feat(plugins): unified plugin lifecycle readiness across discovery, enable, UI, scheduler, and credentials #668 不涉及批准状态），但都在扩 InstalledGhost 与插件 IPC 面，
   后合的一方需要 rebase。

[greptile-apps]

Greptile Summary

本 PR 将插件运行授权从可变安装目录迁移到 Host 持有的批准 receipt，并补齐更新竞态校验、技能快照校验、受管目录隔离及重新确认 UI。

• GhostManager 以 receipt 作为 manifest、trust、启停状态和 revision 的唯一授权事实，无有效 receipt 时保持停用。
• 安装、更新、启停和卸载共用串行事务通道，更新时校验 Renderer 审阅过的批准状态 token。
• 技能槽改为链接到带 revision 的批准快照，并在发布后及每次链接对账时校验完整内容摘要。
• Forge 拒绝将 Host 受管根、其后代或包含受管根的祖先目录作为源码，并拒绝通过链接递归进入受管根。
• Renderer 为缺失或损坏批准状态的插件提供重新确认入口及四语提示。

Confidence Score: 5/5

当前代码已关闭既有线程指出的快照复制与发布校验缺口，本次跟进审查未发现阻止合并的残留问题。

现有实现会在临时快照发布前、rename 就位后以及共享链接建立或保留前复核完整内容摘要；校验失败、异常或 revision 不一致都会跳过目标状态并撤销已有链接，因此既有审查问题已不再可达。

Important Files Changed

Filename	Overview
apps/desktop/src/main/cindy-brain/GhostManager.ts	将插件授权事实迁移到 Host receipt，串行化生命周期写操作，并在启用、更新和技能对账路径上执行 fail-closed 校验。
apps/desktop/src/main/cindy-brain/ghostInstallReceipt.ts	实现 schema v2 receipt、无歧义内容摘要、revision 技能快照及复制前后的一致性复核。
apps/desktop/src/main/cindy-brain/ghostContentTree.ts	统一插件内容遍历、路径段链接拒绝、普通文件判定和摘要编码策略。
apps/desktop/src/main/cindy-brain/skillSlot.ts	在建立或保留共享技能链接前强制验证批准快照，失败或异常时撤销链接。
apps/desktop/src/main/cindy-brain/forge.ts	阻止 scaffold 和 pack 使用受管根、其后代、其祖先或链接别名作为插件源码。
apps/desktop/src/shared/ghost.ts	扩展安装批准状态、token、权限差异及 InstalledGhost 的共享契约。
apps/desktop/src/renderer/features/plugin/GhostPluginPage.tsx	为需要重新确认的插件显示状态徽标、禁用开关并提供恢复入口。
apps/desktop/src/renderer/features/plugin/GhostPluginDetailView.tsx	在插件详情页展示重新确认说明和操作入口。

Sequence Diagram

sequenceDiagram
  participant User as 用户
  participant Renderer
  participant Main as GhostManager
  participant Receipt as Host receipt
  participant Snapshot as 技能快照
  participant Reconciler as 技能链接对账
  participant Agent

  User->>Renderer: 确认安装或更新
  Renderer->>Main: 包 + expectedInstalledApproval
  Main->>Receipt: 比对当前批准 revision
  Main->>Main: 校验并切换插件内容
  Main->>Snapshot: 复制、摘要校验、发布后复核
  Main->>Receipt: 原子写入新批准事实
  Main->>Reconciler: 广播状态变化并调度对账
  Reconciler->>Receipt: 复核当前 revision
  Reconciler->>Snapshot: 重算完整内容摘要
  alt 快照有效
    Reconciler->>Agent: 建立或保留共享技能链接
  else 快照无效
    Reconciler->>Agent: 撤销已有链接
  end

Loading

_{Reviews (8): Last reviewed commit: "fix(desktop): 停用镜像丢失不再翻转随包批准的启停态，随包批准门加运..." | Re-trigger Greptile}

[Copilot]

Pull request overview

This PR hardens Desktop plugin authorization by moving the “what the user approved” source of truth out of the mutable install directory into a Host-owned install receipt (with a random approval revision), and then wiring update/install flows, runtime gating, Forge authoring constraints, and UI affordances around that receipt-backed approval state.

Changes:

• Introduces Host-owned install receipts (manifest/trust/enabled/revision + locale/icon snapshots) and makes GhostManager.list() derive runtime authorization solely from receipts (fail-closed when missing/corrupt).
• Adds cross-process “approval token” binding to updates/market installs to detect state changes after permission review and reject with PRECONDITION_FAILED.
• Tightens Forge pack/scaffold to reject Host-managed roots (install root + approval-state root), and redirects skill-slot linking to approval-revision snapshots instead of the mutable install directory.

Reviewed changes

Copilot reviewed 44 out of 45 changed files in this pull request and generated 1 comment.

Show a summary per file

File	Description
packages/cindy-tools/src/types.ts	Adds structured Forge refusal code for managed-root sources.
docs/dev-rules/plugin-security-and-authoring.md	Documents Host-owned approval receipts, fail-closed behavior, and Forge source isolation.
apps/desktop/src/shared/ghost.ts	Adds GhostInstallApproval, approval token helpers, and receipt-based permission diff helper.
apps/desktop/src/renderer/vite-env.d.ts	Updates renderer API typings for update/install approval token binding.
apps/desktop/src/renderer/lib/tests/ghostPanelBubbleState.test.ts	Updates test fixtures for required InstalledGhost.approval.
apps/desktop/src/renderer/i18n/locales/zh-CN/common.json	Adds reapproval UI strings and approval-required error copy.
apps/desktop/src/renderer/i18n/locales/ko/common.json	Adds reapproval UI strings and approval-required error copy.
apps/desktop/src/renderer/i18n/locales/ja/common.json	Adds reapproval UI strings and approval-required error copy.
apps/desktop/src/renderer/i18n/locales/en/common.json	Adds reapproval UI strings and approval-required error copy.
apps/desktop/src/renderer/features/plugin/lib/pluginMarketPresentation.ts	Adds market reapproval routing + eligibility logic.
apps/desktop/src/renderer/features/plugin/lib/ghostPluginViewModel.ts	Exposes approval state in list/detail view models.
apps/desktop/src/renderer/features/plugin/lib/tests/pluginMarketPresentation.test.ts	Tests market reapproval routing/eligibility helpers.
apps/desktop/src/renderer/features/plugin/GhostPluginPage.tsx	Integrates receipt-based permission diff + reapproval action + token binding.
apps/desktop/src/renderer/features/plugin/GhostPluginDetailView.tsx	Adds reapproval CTA, disables toggles, and shows status notice when unapproved.
apps/desktop/src/renderer/features/plugin/tests/GhostPluginDetailSections.test.tsx	Tests detail UI behavior for legacy/invalid approval states.
apps/desktop/src/renderer/features/plugin/tests/GhostPluginCard.test.tsx	Tests card UI behavior for legacy/invalid approval states.
apps/desktop/src/renderer/cindy-brain/installFlow.tsx	Uses receipt-based permission diff + binds approval token on updates.
apps/desktop/src/renderer/cindy-brain/installErrorKey.ts	Maps approval-related PRECONDITION_FAILED to “reapproval required” UI error.
apps/desktop/src/renderer/cindy-brain/tests/useInstalledGhosts.test.tsx	Updates installed ghost fixtures to include approval.
apps/desktop/src/renderer/cindy-brain/tests/installFlow.test.tsx	Adds tests for passing approval token + “all permissions added” when unapproved.
apps/desktop/src/renderer/cindy-brain/tests/ghostTabPlugins.test.tsx	Updates fixtures to include approval.
apps/desktop/src/renderer/cindy-brain/tests/ghostPluginViewModel.test.ts	Tests carrying approval state through view-model mapping.
apps/desktop/src/renderer/cindy-brain/tests/ghostPanels.test.tsx	Updates fixtures to include approval.
apps/desktop/src/renderer/cindy-brain/tests/GhostPanelBubbleLayer.test.tsx	Updates fixtures to include approval.
apps/desktop/src/renderer/tests/planModeComposerEntry.test.ts	Updates fixtures to include approval.
apps/desktop/src/renderer/tests/ghostComposerPlacement.test.ts	Updates fixtures to include approval.
apps/desktop/src/renderer/tests/ghostCommandDecoration.test.ts	Updates fixtures to include approval.
apps/desktop/src/preload/preload.ts	Updates exposed IPC signatures for approval token binding.
apps/desktop/src/main/plugin-market/service.ts	Enforces approval-token preconditions + receipt-based permission diff for market installs/updates.
apps/desktop/src/main/plugin-market/registerIpc.ts	Validates expectedInstalledApproval tokens for market IPC.
apps/desktop/src/main/plugin-market/tests/service.test.ts	Adds tests for approval-token races and precondition failures during download.
apps/desktop/src/main/mcp-integrations/ghost.ts	Passes managed-root forbiddance into Forge scaffold/pack MCP paths.
apps/desktop/src/main/ghost-panel-window/tests/controller.test.ts	Updates fixtures to include approval.
apps/desktop/src/main/cindy-brain/skillSlot.ts	Repoints shared-skill links to approval-revision snapshots and manages two roots.
apps/desktop/src/main/cindy-brain/runtime/tests/GhostRuntime.test.ts	Updates fixtures to include approval.
apps/desktop/src/main/cindy-brain/index.ts	Wires state root into GhostManager, maps new rejections to IPC errors, and binds market updates.
apps/desktop/src/main/cindy-brain/GhostManager.ts	Implements receipt-backed listing/enable/update/uninstall, mutation serialization, and built-in approvals.
apps/desktop/src/main/cindy-brain/ghostInstallReceipt.ts	New Host-owned receipt store with strict read/atomic write + skill snapshot management.
apps/desktop/src/main/cindy-brain/forge.ts	Adds managed-root forbiddance to scaffold/pack, and new structured error code.
apps/desktop/src/main/cindy-brain/builtinGhostProvisioner.ts	Reports byte-reconciled bundled manifests for automatic receipt approval.
apps/desktop/src/main/cindy-brain/tests/skillSlot.test.ts	Updates tests for required approval-state root and snapshot link targeting.
apps/desktop/src/main/cindy-brain/tests/ghostSetupManifestTracker.test.ts	Updates fixtures to include approval.
apps/desktop/src/main/cindy-brain/tests/GhostManager.test.ts	Adds extensive receipt/approval fail-closed, snapshot, and race-condition coverage.
apps/desktop/src/main/cindy-brain/tests/fsSlot.test.ts	Updates fixtures to include approval.
apps/desktop/src/main/cindy-brain/tests/forge.test.ts	Adds tests for managed-root pack/scaffold refusal and guide wording.

---

💡 Add Copilot custom instructions for smarter, more guided reviews. Learn how to get started.

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: ec33f9aa2a

ℹ️ About Codex in GitHub

Codex has been enabled to automatically review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

When you sign up for Codex through ChatGPT, Codex can also answer questions or update the PR, like "@codex address that feedback".

[Copilot]

Pull request overview

Copilot reviewed 44 out of 45 changed files in this pull request and generated 1 comment.

Comments suppressed due to low confidence (1)

apps/desktop/src/main/cindy-brain/ghostInstallReceipt.ts:132

• GhostInstallReceiptStore.write() may leave behind an orphaned skill-snapshots/<id>/<revision> directory if ensureSkillSnapshot() succeeds but writing/renaming the receipt file fails (e.g. disk full / permission error). Because the receipt is the only “approved” fact source, this orphan snapshot will never be referenced but can accumulate on repeated failures. Consider cleaning up the newly-created snapshot target when the receipt commit fails, while avoiding deleting pre-existing snapshots during enable/disable toggles.

    const root = this.rootDir();
    await fs.promises.mkdir(root, { recursive: true });
    try {
      await this.ensureSkillSnapshot(receipt, options.skillSourceDir);
    } catch (error) {

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: 40fe328ae0

ℹ️ About Codex in GitHub

Codex has been enabled to automatically review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

When you sign up for Codex through ChatGPT, Codex can also answer questions or update the PR, like "@codex address that feedback".

[Yuewei-LL]

本轮增量 commit 只动了三个文件（+78 / -1）：index.ts 的 fail-closed 收敛、 ghostInstallReceipt.ts 的 SKILL.md size/stat 守卫、GhostManager.test.ts 的两个用例。 刻意追加 commit 而不是 amend，方便 reviewer 只看增量。

验证：pnpm --filter desktop typecheck PASS；插件相关全部目录定向跑 122 files / 1676 tests PASS；pnpm test:unit 结果与 PR 描述里那条一致（本机 cindy-media 的 8 个 suite 因 better-sqlite3 原生模块在 Windows 下 collect 失败， 已在未改动的 origin/main 上复现，非本改动引入）。

[MagicLizi]

⏸️ 本 PR 修改规则文档 plugin-security-and-authoring.md,触发 rules 签字门(审查判据变更),已开讨论 issue 等待 roster 确认。如需放行:在 PR 评论或讨论 issue 里回复同意,或摘掉 need-whitelist 标签。

讨论 issue:#1091

[Copilot]

Pull request overview

Copilot reviewed 44 out of 45 changed files in this pull request and generated no new comments.

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: 3387f85a7b

ℹ️ About Codex in GitHub

Codex has been enabled to automatically review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

When you sign up for Codex through ChatGPT, Codex can also answer questions or update the PR, like "@codex address that feedback".

[Copilot]

Pull request overview

Copilot reviewed 44 out of 45 changed files in this pull request and generated 1 comment.

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: 0d627c0cb6

ℹ️ About Codex in GitHub

Codex has been enabled to automatically review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

When you sign up for Codex through ChatGPT, Codex can also answer questions or update the PR, like "@codex address that feedback".

[MagicLizi]

@Yuewei-LL 👋 这个 PR 还有 8 条 review conversation 没 resolve(apps/desktop/src/main/cindy-brain/ghostInstallReceipt.ts / apps/desktop/src/main/cindy-brain/index.ts / apps/desktop/src/main/cindy-brain/builtinGhostProvisioner.ts / apps/desktop/src/main/cindy-brain/forge.ts),auto-review 因此暂时跳过、没法继续审查 / 合并。

如果你已经按评论改完或回应了,请到对应 thread 上点 Resolve conversation;全部 resolve 后,下一轮 auto-review 会自动重新审查这个 PR。

[MagicLizi]

Review: 1 P1 (阻塞合并)

P1: index.ts:794 — reconcileBuiltinGhostsLocked 每次 tick 从可变安装目录重新推导 receipt.enabled，静默覆盖用户的显式禁用决策

reconcileBuiltinGhostsLocked()（L789–795）在每次 reconcile tick（启动、登录、locale 变更）时从 .disabled 标记文件重新计算 enabled 参数传给 approveTrustedBundledInstall()。在已批准且内容匹配的稳态分支里，代码执行 if (current.receipt.enabled !== enabled) { write({...current.receipt, enabled}) } —— 只因标记文件与 receipt 不一致就覆写 receipt。

后果：用户通过 setEnabled('x', false) 禁用内置插件（正确写入 receipt.enabled=false 并创建 .disabled）→ 外部因素移除 .disabled 文件（AV 隔离/恢复、同步冲突解析器、手动清理）→ 下次 reconcile 静默翻转 receipt 回 enabled=true → 插件恢复完整能力集（tool 暴露、message hook、卡片 slot、外部链接等），无弹窗、无重新授权、无审计记录。

这恰好重新引入了本 PR 声明要消除的模式（PR body: "trust / enabled 一律只从 receipt 取，安装目录里那三样退化为旧版本兼容镜像"）。reconcileBuiltinGhostsLocked 在仓库中零测试覆盖。

建议修复：在 current.state === 'approved' && content-matches 分支中，保持 current.receipt.enabled 不变，不接受 marker-derived override；仅在引导全新 receipt 时（else 分支，尚无其他 truth source）才参考 .disabled 标记。

---

P2（不阻塞）

1. forge.ts:600: Host-managed-root 守卫用 fs.promises.realpath 而非 .native() 变体；Windows junction 正确性依赖一次性手动验证而非 CI（已在 PR body 如实披露）。
2. forge.ts:447: scaffoldGhostDir 的手动 ancestor-walk 与新抽取的 resolveThroughExistingAncestor() 逻辑重复。
3. GhostManager.ts:1055: approveTrustedBundledInstall 无运行时断言强制其 builtin-only 使用边界（当前靠单一调用者纪律保证安全）。

[Copilot]

Pull request overview

Copilot reviewed 49 out of 50 changed files in this pull request and generated no new comments.

[Yuewei-LL]

@MagicLizi 已修（commit ac6a812），P1 与三条 P2 全部处理。逐条说明，其中 P1 没有原样
采用建议修法，理由如下。

P1：确认成立，已修——但修法与建议不同

因果链我逐环核过，全部成立：setEnabled(false) 双写 receipt 与 .disabled 镜像 →
外部因素移除镜像 → 下一轮对账把 !existsSync(.disabled) 喂给
approveTrustedBundledInstall，稳态分支只因读数不一致就覆写 receipt 回 enabled=true。
补一层你没展开的后果：带 skill 槽的随包插件会随之重新挂进全局技能链，由主 Agent 以
用户全部权限执行——这比 tool 暴露/message hook 恢复更重。

建议修法（"稳态分支保持 receipt.enabled 不变，只在引导全新 receipt 时参考镜像"）有
两个缺口，所以没有照抄：

1. 它把「镜像说停用、receipt 说启用」也一起忽略了。那是旧客户端唯一能表达停用的方式
   （老版本只写 .disabled 不写 receipt），PR 正文承诺过「回滚到旧客户端不出现批准态
   说停用、旧客户端却点亮的错位」，规则文档也写明收敛方向不对称：停用必须永远能成功。
2. 它只堵稳态分支。随包更新走的「建全新 receipt」else 分支用同一个镜像推导 enabled——
   镜像在更新 tick 之前丢失，新 receipt 照样 enabled=true，同一个洞换条路。

实际修法：合并规则收进 approveTrustedBundledInstall 一处、对两个分支同时生效——
镜像读数只往停用方向合并，不往启用方向翻：

enabled = prior === undefined ? marker : (marker && prior)

• 镜像说停用 → 一律照办（旧客户端停用生效，安全方向）；
• 镜像说启用、receipt 说停用 → 保持停用（修掉 P1），并把 .disabled 补写回去，守住
  旧客户端降级承诺（写不进只 warn，receipt 仍是权威）；
• 无 receipt → 按镜像（引导 / 改名停用态补挂不受影响）；
• 重新启用只有用户显式 setEnabled(true) 一条路。

prior 直接读盘上 receipt 而非 readApproval 投影：隔离态 receipt 不作授权事实，但
「曾经停用」只用于往下拉、是 fail closed 方向——否则「隔离 + 镜像同时丢失」的组合仍会
让自愈把插件带回启用。

行为代价如实说明：用户在旧客户端里启用（删镜像）后升回新客户端，插件保持停用、需再点
一次启用。方向安全、路径罕见，判为可接受；不认可的话这一半可以单独再议。

关于「reconcileBuiltinGhosts 零测试覆盖」：属实，此前在 r3682452719 也说明过成因
（私有函数 + index.ts 拉起整张 main 单例图）。这轮补的 4 条用例直测它依赖的公开入口
approveTrustedBundledInstall 的合并契约，前两条已实测还原成旧行为后精确变红：

• keeps a receipt-pinned disable when the .disabled mirror was lost, and rewrites the mirror
• a bundled update keeps the receipt-pinned disable even when the marker was lost
  ——钉住"更新分支共用同一条规则"，只按建议堵稳态分支时此用例红
• an old-client style .disabled marker still turns a bundled receipt off
  ——钉住非对称的另一半，防止把修复做过头
• refuses to mint a bundled approval for an id outside the seed roster

一处小勘误：触发点是 startup / auth-change / legacy-recovery / restore 四个，不含
locale 变更（locale 只影响 list() 的本地化投影，不跑 reconcile）。不影响结论。

P2 三条都做了

1. realpath 统一 .native：fs.promises.realpath 没有 native 变体，
   promisify(fs.realpath.native) 一次，workdir 钳制 / 受管根解析 / 打包源目录三处
   统一。此前我判它"一致性问题而非洞"（最终比较侧 isPathInsideDir 已做 win32 大小写
   折叠），但解析器不该是全仓唯一的例外，统一后也消掉了"两种实现在多层 junction 链上
   是否等价"这个未实测的疑问。
2. scaffold 祖先 walk 去重：删掉手写份，与打包侧共用 resolveThroughExistingAncestor
   （差异只有错误处理形态，调用点包回 INTERNAL）。同一判定散落多处正是这条链路反复出
   问题的形态。
3. builtin-only 运行期断言：新增注入式 isTrustedBundledId，生产接线 = id 必须在
   随包种子清单里（listBuiltinSeedIds），不在清单一律抛错。做成注入而非硬编码
   cindy- 前缀：企业种子 id 不带该前缀，种子清单才是事实源。

验证

pnpm --filter desktop typecheck PASS；vitest run src/main/cindy-brain 77 files /
1116 tests PASS；pnpm test:unit 16964 passed / 断言层 0 失败（8 个 collect 失败仍为
本机 cindy-media / better-sqlite3 既有环境问题，未改动的 origin/main 同样复现）。

[MagicLizi]

在「待签字 PR」面板确认放行。

[MagicLizi]

@Yuewei-LL 👋 这个 PR 目前与 main 有合并冲突,auto-review 因此暂时跳过、没法继续审查 / 合并。

请在本地 merge 最新的 origin/main 解决冲突后推送;冲突解除后,下一轮 auto-review 会自动重新处理这个 PR。

[MagicLizi]

审查通过（heavy tier），零 P0/P1。安全扫描通过。

三项重点安全验证均独立确认：

1. Receipt 伪造/重放：Renderer→Main 的确认 token 由 Main 从 live state 重新计算，不可重放；残留的 same-privilege 本地伪造已在 plugin-security-and-authoring.md 中显式声明为已知限制
2. 路径穿越：所有 receipt/skill-snapshot 路径经 isValidGhostId/UUID 格式校验 + ghostContentTree.ts 逐段 lstat 解析（拒绝 symlink/junction）；测试覆盖了双向包含攻击
3. 迁移安全：list() 按 content-directory 存在性枚举而非 receipt 存在性，孤立 receipt 不能复活已删插件；uninstall() 先删内容再 best-effort 清 receipt

额外确认：内容哈希长度前缀防碰撞、skill-snapshot digest 不匹配时自动断链、i18n 四语言键一致。

[MagicLizi]

主干代合并:冲突文件 docs/dev-rules/plugin-security-and-authoring.md(#1212 新增 confirmSlot 行与本 PR 新增 receipt 行相邻),合并后保留两者;typecheck 验证通过(41 个 @cindy/slack-hook-protocol 错误为 main 上预存)。

这个 receipt 把安装目录从授权事实里摘干净了——以前「就地改 ghost.json 绕权限 diff」那个洞真打实了,而且文档诚实登记了剩余两个 gap,下次改就不用重新考古。

[MagicLizi]

这个 PR 已在 main 上整体回滚（eb6556dd），原因与重做要求记在 #1243。

简述：把「无批准 receipt = 不构成运行授权」一次性作用到全部存量安装，只给随包内置插件留了自动补批准的路（approveTrustedBundledInstall），市场与本地安装没有 backfill 路径。实机结果是升级后全部非随包插件同时停用、开关置灰、逐个挂上「需要重新确认权限」；市场包需手动点一次重装确认，本地包要求重新提供原始 .cindy 文件——包已丢失即无从恢复。这正是本 PR「手工验证」一节自列为待补的第 1 条，合并前没实机跑过。

安全方向是对的，#636 的漏洞真实存在、现在随回滚重新敞开，已在 plugin-security-and-authoring.md 第 7 节登记为【待重做】。PR 描述里对这个代价的披露是到位的（分三档 + 加粗标注「刻意取舍，留给维护者拍板」+ 给了折中方案），合并方也有责任。需要重做的只是落地方式：自动修复（backfill）与向下兼容这两块没考虑到。

同批新立了第 5 节「存量插件兼容：升级必须无感」红线（b7ebb8f2）：新增校验或必填字段默认自带迁移而不是自带拒绝，「老数据缺新字段」是升级前的正常历史状态、不是攻击证据；自动做不到时要有明确提示 + 一次性批量恢复入口；必须有基于旧布局 fixture 的升级用例。逐条验收标准列在 #1243，重做时按它对。

注：本想把 #1243 assign 给你，但 GitHub 拒绝（非本仓 collaborator），所以在这里 @ 一下 —— @Yuewei-LL